據(jù)外媒CNET報道，美國立法者和證人周五在眾議院監(jiān)督和國土證券委員會的聽證會上表示，網(wǎng)絡(luò)安全方面的最大問題導(dǎo)致了持續(xù)的黑客攻擊活動，該活動將IT軟件公司SolarWinds的產(chǎn)品更新作為“武器”。無論是網(wǎng)絡(luò)安全人員的缺乏，私營公司和聯(lián)邦政府之間的溝通不暢，還是缺乏可接受的間諜黑客行為的全球標(biāo)準(zhǔn)，長期以來的問題都在發(fā)揮作用。

解決方案早已在醞釀中，但這些解決方案不足以阻止一個疑似俄羅斯黑客組織進入9個聯(lián)邦政府機構(gòu)和約100家私營公司的系統(tǒng)。在聽證會上，現(xiàn)任SolarWinds首席執(zhí)行官Sudhakar Ramakrishna和前任首席執(zhí)行官Kevin B. Thompson、微軟總裁Brad Smith和FireEye首席執(zhí)行官Kevin Mandia一起就黑客入侵的因素進行了作證。

來自紐約的共和黨人約翰-卡特科說，黑客組織表明它可以利用美國網(wǎng)絡(luò)安全的無數(shù)弱點。他表示，更糟糕的是，他們并不擔(dān)心他們的行動會帶來任何后果。“他們在現(xiàn)代軍備競賽中獲勝，我們需要加大力度。”

黑客活動很復(fù)雜，攻擊者在SolarWinds的Orion產(chǎn)品的更新版中加入惡意軟件。數(shù)千家實體下載了受感染的更新，黑客隨后集中在選定的目標(biāo)上進行進一步入侵。然而，正如立法者周三在參議院情報委員會上討論的那樣，黑客還濫用其他公司的服務(wù)，而不僅僅是SolarWinds的服務(wù)，入侵了大約30%的目標(biāo)。

雖然過去人事管理辦公室，Equifax和民主黨全國委員會的重大入侵事件促使一些變化，但保護美國系統(tǒng)的系統(tǒng)仍然存在重大缺陷。進一步的改變可能有幾種形式。

Smith和Mandia都表示支持要求公司與聯(lián)邦政府分享系統(tǒng)被入侵的信息。目前，directadmin安裝，網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局負(fù)責(zé)許多此類報告，立法者主張將信息更好地流向政府其他部門。此外，SolarWinds的Ramakrishna表示，該公司希望與其他公司分享它所學(xué)到的東西，有可能導(dǎo)致更好的保障軟件更新的系統(tǒng)。

Ramakrishna還強調(diào)，需要迅速加強政府機構(gòu)和科技公司之間的協(xié)議，建立明確的溝通渠道，以便更快地做出安全反應(yīng)，特別是當(dāng)一個復(fù)雜的攻擊者襲擊時。“在這種情況下，站群服務(wù)器，他們在很多方面表現(xiàn)得像變形玩具，不斷變形，并改變他們對我們的戰(zhàn)術(shù)和程序，”Ramakrishna說。

Smith回應(yīng)了Ramakrishna的呼吁，強調(diào)了他所說的障礙，他說這些障礙減緩了微軟向機構(gòu)發(fā)出SolarWinds黑客警報的努力。

“政府合同對微軟和其他政府承包商在這種情況下的限制，”Smith說。“我們發(fā)現(xiàn)，我們只能通知作為受害者本身的機構(gòu)，我們不得不要求他們?nèi)ズ土硪粋€人或個人或政府的一部分談話。”

當(dāng)被問及未來的預(yù)防工作時，Smith表示，政府應(yīng)該建立更好的“道路規(guī)則”，包括通過立法，以平息這種大規(guī)模入侵事件的后果。

“如果你抓住了從事違法行為的人，你需要追究他們的責(zé)任，你需要多種方式來做到這一點，”Smith告訴小組。

被指控的黑客的后果可能很快就會到來，據(jù)報道，喬·拜登政府正在考慮對涉嫌攻擊的人進行制裁。但沒有跡象表明，國際社會即將就什么算作間諜機構(gòu)的境外黑客行為達成協(xié)議。